Zoom 9,8: falha crítica e correções do Splunk exigem ação

O Zoom publicou em 16 de julho de 2026 uma correção para CVE-2026-53412, vulnerabilidade crítica avaliada em 9,8 no CVSS que afeta clientes Windows e permite a apropriação de contas por um invasor não autenticado com acesso à rede. No mesmo período, a Splunk divulgou três correções para o Splunk Enterprise e o Splunk Cloud Platform, abrangendo CSRF com injeção de SPL, path traversal e divulgação de hashes de credenciais. A ação imediata para equipes de defesa é inventariar clientes Zoom em endpoints Windows, identificar instâncias Splunk e confirmar que cada sistema alcançou uma versão corrigida antes de considerar o item encerrado.

O que o Zoom divulgou

A vulnerabilidade CVE-2026-53412 recebeu nota 9,8 no CVSS e é descrita como um problema de validação de entrada imprópria nos clientes Zoom para Windows. Segundo o boletim do fornecedor (ZSB-26014), a falha afeta o Zoom Desktop Client for Windows, o Zoom VDI Client for Windows e o Zoom Meeting SDK for Windows. O impacto divulgado é a apropriação de contas por um usuário não autenticado com acesso à rede, o que coloca o item no topo da fila de correção de qualquer organização que dependa de clientes Zoom em ambiente Windows.

O mesmo ciclo trouxe CVE-2026-53411, uma condição de corrida TOCTOU (time-of-check to time-of-use) no processo de instalação e desinstalação de certos clientes Zoom para Windows, que pode permitir escalonamento de privilégios a um usuário local autenticado. Para fechar o item crítico, as versões corrigidas são Zoom Workplace 7.0.0, Zoom VDI Client 7.0.10, 6.6.15 e 6.5.18 e Zoom Meeting SDK 7.0.0, conforme o boletim oficial e a cobertura de fontes independentes. Nenhum dos dois fornecedores relatou exploração ativa em ambiente real no momento da divulgação, nem há registro na lista KEV da CISA até o fechamento desta matéria. A ausência de exploração observada não é motivo para adiar a correção: a pontuação 9,8 já codifica impacto alto e barreira baixa.

As três falhas do Splunk

A Splunk divulgou em 15 de julho de 2026 três vulnerabilidades no Splunk Enterprise e no Splunk Cloud Platform, com CVSS variando de 5,3 a 8,3. O item mais grave, CVE-2026-20296 (CVSS 8,3), é uma falha de cross-site request forgery (CSRF) combinada a injeção de SPL nos endpoints do Deployment Server. Um invasor pode induzir um usuário com a capacidade list_deployment_server a executar SPL arbitrária como splunk-system-user, expondo credenciais armazenadas e dados indexados.

CVE-2026-20297 (CVSS 7,2) é uma falha de path traversal no endpoint REST de instalação de apps: um usuário com as capacidades edit_local_apps e install_apps pode gravar arquivos fora do diretório da aplicação, sob o caminho $SPLUNK_HOME/etc/. CVE-2026-20298 (CVSS 5,3), por sua vez, é uma divulgação de informação que permite a usuários de baixo privilégio, sem os papéis admin ou power, visualizar hashes de credenciais armazenados por meio do comando SPL |rest no endpoint storage/passwords. As versões corrigidas do Splunk Enterprise são 10.4.1, 10.2.5, 10.0.8 e 9.4.13, além de 9.3.14 especificamente para o CVE-2026-20297. Para o CVE-2026-20298, é necessário também definir mask_encr_password = true na estrofe [storage_passwords_masking] do arquivo limits.conf e reiniciar a instância.

Como priorizar a correção

Quando dois fornecedores divulgam correções críticas no mesmo período, a prioridade se define por severidade e exposição, e não pela ordem de chegada dos comunicados. A falha do Zoom, com CVSS 9,8 e caminho de ataque pela rede sem autenticação, deve encabeçar a fila: o impacto de apropriação de contas compromete diretamente identidades e acessos a dados sensíveis de reuniões, histórico de chat e integrações, de forma comparável ao risco de uma falha crítica que permite execução remota de código.

As falhas do Splunk, embora com CVSS menor, exigem atenção especial porque o Splunk costuma estar no centro da própria visibilidade de segurança da equipe. Um invasor que consiga executar SPL arbitrária como splunk-system-user ganha acesso a credenciais armazenadas e dados indexados, o que pode comprometer o SOC a partir de dentro. A mesma lógica de priorização que se aplica a uma vulnerabilidade crítica em firewalls corporativos vale aqui: tratar cada comunicado como uma entrada em uma fila única priorizada evita que um item crítico caia entre responsáveis durante uma janela movimentada de correções.

Checklist de verificação

1. Inventariar todos os endpoints Windows que executam o Zoom Desktop Client, o VDI Client ou que incorporam o Zoom Meeting SDK.
2. Confirmar as versões instaladas e atualizar para Zoom Workplace 7.0.0, VDI Client 7.0.10, 6.6.15 ou 6.5.18, ou Meeting SDK 7.0.0.
3. Verificar imagens gold master e imagens VDI que podem conter clientes Zoom desatualizados.
4. Identificar todas as instâncias do Splunk Enterprise e registrar a versão de cada uma.
5. Atualizar o Splunk Enterprise para 10.4.1, 10.2.5, 10.0.8 ou 9.4.13 (ou 9.3.14 para o CVE-2026-20297).
6. No Splunk Enterprise, definir mask_encr_password = true na estrofe [storage_passwords_masking] do arquivo limits.conf e reiniciar a instância.
7. Revisar quem detém as capacidades list_deployment_server, edit_local_apps e install_apps.
8. Monitorar atividade REST incomum, solicitações de instalação de apps e execuções SPL privilegiadas após a atualização.

Fontes

• Splunk — Security Advisories (SVD-2026-0702, SVD-2026-0703, SVD-2026-0704)
• Security Online — Splunk Enterprise Vulnerabilities: CVE-2026-20296 Patched
• ToolsLib Blog — Zoom patches critical Windows account takeover flaw (CVE-2026-53412)